Suite à une recrudescence d’actes de piratage sur les installations vidéo IP, GPMSE Installation rappelle que ces actes se traduisent généralement par des blocages internet et une mise hors d’usage des systèmes d’enregistrement et de stockage.
Or, GPMSE Installation veille à ce que ses adhérents soient certifiés, pour une plus grande sécurisation de l’installation de système de sécurité. En outre, nos adhérents sont sensibles à leur devoir de conseil, et s’appliquent à sensibiliser leurs clients à ce risque informatique.
Ces agissements de piratage sont le plus souvent liés à des fonctionnements de type Peer To Peer ou à des codes d’accès au stockeur trop simples.
Dès 2013, l’ANSSI publiait des recommandations de sécurité relatives aux dispositifs de vidéoprotection.
Les dispositifs de vidéoprotection sont potentiellement exposés aux mêmes vulnérabilités que les autres systèmes d’information, vulnérabilités dont l’exploitation pourrait porter atteinte à la fonction de sécurité que ces dispositifs assurent. Ce risque est d’autant plus réel que l’utilisation de protocoles standards incite régulièrement le donneur d’ordre à demander la mutualisation du réseau supportant ce dispositif avec le global système d’information, pour des raisons budgétaires. « Une telle mutualisation est susceptible d’augmenter la surface d’attaque des dispositifs de vidéoprotection eux-mêmes, et d’exposer par ailleurs le reste du système d’information à des attaques issues des équipements de vidéoprotection », précise l’ANSSI.
Nous recommandons donc à nos adhérents de déconseiller cette mutualisation et d’en expliquer les raisons à leurs clients.
Veuillez trouver, ci-dessous, quelques mesures préconisées par l’ANSSI, dont la mise en œuvre vise à contrer ces vulnérabilités potentielles, ou du moins à en limiter l’impact :
- ANALYSE SUCCINCTE DES MENACES
« Les risques liés à l’exploitation d’éventuelles vulnérabilités dans les dispositifs de vidéoprotection relèvent pour l’essentiel des trois catégories suivantes :
– Atteinte à la confidentialité des données de vidéoprotection : les flux vidéo (voire audio) captés par les caméras peuvent être interceptés, par écoute passive sur le réseau support ou interception de rayonnements parasites compromettants.
– Atteinte à la disponibilité de la vidéoprotection : l’exploitation de vulnérabilités logiques dans les différents équipements actifs du réseau de vidéoprotection (caméras, équipements de routage, serveurs de collecte) peut permettre à un attaquant de désactiver tout ou partie du dispositif. Une attaque de ce type peut par ailleurs être dissimulée par l’injection de flux vidéo illégitimes créés par l’attaquant ou le rejeu de flux légitimes antérieurs.
– Intrusion dans le reste du système d’information : lorsque le réseau support des équipements de vidéoprotection est mutualisé avec le système d’information de l’entité utilisatrice, la prise de contrôle d’un équipement de vidéoprotection par un attaquant peut permettre à ce dernier de mener dans un second temps une intrusion plus générale au sein du système d’information. »
- CHOIX ET CONFIGURATION DES EQUIPEMENTS DE VIDEOPROTECTION
« Les considérations de sécurité doivent également intervenir dans le choix des capteurs de vidéoprotection, ainsi que dans la configuration de ces équipements. » Nous rappelons que les caméras IP s’apparentent de plus en plus à des ordinateurs, « aussi bien au niveau du matériel lui-même (micro-processeurs usuels, connectivité standard de type USB ou port série, etc.) que des composants logiciels qu’il exécute (système d’exploitation de type Linux, serveur web ou console d’accès distant, etc.). » Aussi, les recommandations de sécurité portant sur ces équipements rejoignent largement celles qui sont plus généralement conseillées pour des matériels informatiques de type PC.
« On retiendra plus particulièrement les mesures suivantes :
– Les flux réseau émis et reçus par les équipements doivent autant que possible être chiffrés et authentifiés, avec un protocole cryptographique interdisant le rejeu de flux antérieurs. Cette mesure doit porter aussi bien sur les flux de remontée vidéo que sur les connexions d’administration distante des caméras ». Si de nombreux modèles de caméras IP supportent des options de protection cryptographique des flux réseaux, il est en général nécessaire de les activer spécifiquement dans la configuration des équipements.
– Veuillez à désactiver les interfaces locales d’administration des équipements déployés, quand cela est possible.
– Désactivez les fonctions et interfaces d’administration qui ne sont pas réellement utilisées dans le cadre du déploiement considéré. « Il est en effet courant pour les équipements récents de proposer un ensemble de fonctionnalités avancées (par exemple réorientation de la caméra) dont la mise en œuvre n’est pas forcément nécessaire dans un cadre donné. Dans ce cas, la désactivation de ces fonctionnalités, lorsqu’elle est possible, réduira d’autant la surface d’attaque des équipements. »
Pour connaître l’intégralité des recommandations, nous vous invitons à vous connecter sur le site de l’ANSSI (http://ssi.gouv.fr).
En outre, l’ANSSI préconise de déclarer systématiquement les actes de malveillance.
Nous vous invitons aussi à nous signaler toutes anomalies ou actes impliquant la sécurité informatique sur les matériels de sécurité électroniques utilisant les technologies IP afin que nous puissions les répertorier.
Luc Jouve
Président GPMSE Installation